企业的网络安全策略

企业的网络安全策略本文分析了当前网络安全工作对于国家安全和经济建设的重要意义、它所面临的种种威平的网络安全技术队伍是安全的保证，严格的管理实施关键词：网络安全、网络安全策略、网络攻击关的"大事情"。安全保障能力是新世纪一个国家综合国力、经济竞争实力和生存能力的重犊地报导。可以说，网络战争已经在另外一个维度上成为"政治的延续"。入侵导致停机两次；六月份，中国商务网（）被自称inS目前我国对计算机网络安全产品的认证研究刚开始起步，尚没有对计算机安全发布权威上海热线杨威入侵案的审理过程说明了新刑法在新兴的计算机犯罪的定罪和量刑上的模糊企业的安全策略是企业在网络安全工作中的法律。网络安全工作要有法如果说网络安全的目标是一座大厦的话，那么相应的安全策略就是施工的蓝图。它使网示，目前55%的企业网没有自己的安全策略。网络安全策略应该对企业的各种网络服务的本文将分析当前网络安全工作所面临的种种威胁这些威胁可能来源于各种各样的因素：可能是有意的，也可能是无意的；可能是来源于企(1)非人为、自然力造成的数据丢失、设备失效、线路阻断(2)人为但属于操作人员无意的失误造成的数据丢失前面两种的预防与传统电信网络基本相同，不在本文讨论范围之内。最后一种是当前Internet网络所面临的最大威胁，是电子商务、政府上网工程等顺利发展的最大障碍，也对网络安全管理员来说，可能导致一个网络受到破坏、网络服务受到影响的所有行为都应称为攻击，也可以说攻击是指谋取超越目标网络安全策略所限定的服务（入侵）或者使目得一些青少年利用从网络上学来的简单入侵手段就能在网络上通行无打击对手的商业信誉可能会发动攻击行为。从前言的叙述中，我们也看到了网络攻击和入侵对于获取其它目标国家或机构的机密信息是一种非常重要的手首先，从芯片、操作系统到应用程序，任何一个环节都可能被开发者留下"后门"。现在世网络，大家使用的网络软、硬件种类并不很多。并且，有越来越集中的趋势。而掌握这些软硬件核心技术的那些公司、机构集中在以美国为首的少数几个发达国家中。现在的制造应用程序中能够预先安置从事情报收集、受控激发破坏的程序。这些"内奸"，可以接收特目的也经常设置一些"后门"。这些"后门"对网洞和缺陷恰恰是黑客进行攻击的目标。这些安全漏洞的发现依赖于艰辛的测试和研究。国际上现在有许多的研究组、讨论组频繁地公布各种各样新发现的安全漏洞。网络安全管理员和黑客通过研究或其它渠道都有可能率先获知。网络安全体系随着黑客发现新的安全漏洞而变得脆弱，同时也随着安全管理员首先发现安全漏洞并及时更改配置弥补而重新变得要的原因。最近报道的若干网络入侵案件证明了这一点。网络管理员配置不当或者网络应在防火墙内部架设拨号服务器却没有对帐号认证等严格限制、用户安全意识不强，将自己的帐号随意转借他人或与别人共享等等，这些管理落实上的问题都是无论多么精妙的安全策略和网络安全体系都不能解决的，都会使网络处于危善保管备份磁带和文档资料；防止非法人员进入机房进行偷窃和系统辐射相关的伪噪声向空间辐射来掩盖计算机系统的工作子网内，提高网络整体的安全水平。路由器、虚拟局域网(VLAN)、防火墙是当前主要的网络分段手段。前面两种的配置较为直观，下面主要分析防火墙技术。保护数据。并且，防火墙可能会导致内部网络安全管理的松懈。例。包过滤防火墙检查每一条规则直至发现包中的信息与某规则相符。如果规则都不符合，录注1Any防spoof2Www_ip允许WWW3允4允许5允许6Any禁注:在上面配置建议中，各个地址含义如下：WWW服务器地址：www_ip外部地址网段：inter_ip防火墙可以配置在以下网络连接处：安装防火墙，并可以利用防火墙的VPN功能组成虚拟专网üISP可利用防火墙的负载平衡功能在公共访担、存取控制、用户认证、流量控制、日志纪录等功能ü企业网中各部门网络之间存在信息控制需求时，可以使用防火墙各种防火墙的安全性能不尽相同。下面以目前市场的主导产品-CheckPoint公司的在FTP应用中可以根据文件名和内容来检查非法文件和病URL、剥离特定ActiveX、Java等。2.用户认证可以支持RADIUS、S/KEY、TACACS/TACACS+、数字证书、主机用户态和报警情况。管理员可以定义不同状态变化采取的相应常丰富的服务，包括地址翻译(NAT)、虚拟专网(VPN)、负载平衡(LoadBalancing)、支持ICMP、DHCP、HTTP、TELNET、FTP、SNMP等。考察防火墙产品的性能可以从下面几个角度入手：比较著名的常规密码算法有：美国的DES及其各种变形、欧洲的IDEA、RC4、RC以代换密码和转轮密码为代表的古典密码等。对称密码的优点是有很强的保密强度，且经解密密钥。比较著名的公钥密码算法有：RSA、Diffe-Hellman等。最有影响的公钥输入的口令，否则，用户将被拒之网络之外。用户的口令是用户入网的关键所在。的是明文，包括TELNET、FTP、HTTP、POP3等应用，到明文的用户口令。针对明文网络传输的弱点，可以采用的加强措施包括：私钥本身的安全性。网络上可以免费获得该软5.自动回呼设备：拨号服务器设定特定用户对特定电话号码的自动回拨可以防止假冒的拨评价一套网络安全扫描工具的性能主要应考虑下面一些因素：优势:3.基于网络IDS的宿主机通常处于比较隐蔽的位置，基本上不对外括可以辅助证明和作为起诉的证据的信息。而基于主机IDS的数据源则可能已经被精通审它比较新的记录条目与攻击特征并检查不应该改变的系统文件的校验和来分析系统是否被于定期检测的时间间隔。实时性没有基于网络优势:1.监视所有系统行为。基于主机的IDS能够监视所有的用户登录2.有些攻击在网络的数据流中很难发现，或者根本没有通过网络在本地进行。这时基于网于网络的系统不能判断确切的攻击。基于主机的4.不要求额外的硬件。基于主机的IDS配置在被保护的网络设备，不要求在网络上增加额基于主机的IDS与基于网络的IDS可以互相补充，网络部分提当前市场上基于网络的典型产品包括ISS公司的ReNetProwler、CISCO公司的NETRANGER等。基于主机的典型产品包括ISS公司的以上两种入侵检测产品的比较和市场主导产品的比较另见本站其备份磁带是在网络系统由于各种原因出现灾难事件时最为重要的恢复和分析的手段和从网络安全的角度考虑问题，打开的服务越多，可能出现的安全漏授权"原则指得是网络中帐号设置、服务配置、主机间信任关系配置等应该为网络正常运行机信任关系、及时删除不必要的帐号等手段也可以将入侵危险降低一半以上。#关闭"r"系列可以减少远程攻击和主机信任关系引起的连锁反应和电子欺骗等的威胁；胁；#关闭"snmpd"可以减少因为SNMPV1协议本身安全性引起的安全漏洞；#关闭UNIX系统的路由功能可以减少路由协议和转发数据包引起的安全漏洞；等相应服务；通过创建空文件/etc/notrouter来关闭IP转发功能（或者SUN系统中使用命令/dev/udp等设备的参数）；等等。（本站会另有专文讲解更为详细的系统加固手段）。安全策略，可能只能允许某个IP地址使用TELNET服务，另一个子网用户可以使用F服务。软件tcpwrapper可以用以实现这种策略，该软件当前网络上有多处可信站点强网络安全水平。所以将其独立列为网络安全的一个4网络安全的实现对于ISP网络和企业网，对于上面论述的网络安全几个重要元素，受投资规模的限制，不4.1完备适当的网络安全策略模的企业网和ISP网络，运行者应该有自己的网络安全技术专家，它们直接参与工程的设计、谈判、运行,拥有对整体网络拓扑和服务非常透彻的了解。这样可以保证网络安全策略许多大的网络公司也雇佣专门的安全评估小组对其网络进行模拟攻击，以求避免类似"不识庐山真面目，只缘身在此山中"的效果。多方位、多角度地考察网络安全漏洞和弱点是提高l开放的服务及其分担组合各种服务根据网络实力进行服务分担并且分别使用VLAN或者防火墙等手段进行隔离。对l各种服务的安全运行级别务的直接保证。一般来说，对于ISP网l根据服务功能区分，确定网络拓扑、隔离手段、依赖和信任关系l机房设备和数据的物理安全及其保障l网络安全管理职能的分割与责任分担l用户的权利分级和责任意使用网络、利用网络骚扰攻击其它网络或用户的使用者应该采取的处理办法。l攻击和入侵应急处理流程和灾难恢复计划员的支持，某种等级的安全故障必须向上级主管部门包括口令的选取、保存、更改周期、定期检查、就会发生入侵的，入侵可能只停留在接触阶段，因为没有兴趣而停止。管理层和技术人员大家形成一个共识：网络安全工作非常重要，投资是必要的。训服务，在建设和维护上为领导决策提供网络安